Adware.Gexin.9267

Техническая информация

Вредоносные функции:

Выполняет код следующих детектируемых угроз:

Adware.Gexin.2.origin

Осуществляет доступ к приватному интерфейсу ITelephony.

Сетевая активность:

Подключается к:

UDP(DNS) <Google DNS>
TCP(HTTP/1.1) ti####.c####.l####.####.com:80
TCP(HTTP/1.1) qin####.com.www.####.com:80
TCP(HTTP/1.1) t####.c####.q####.####.com:80
TCP(HTTP/1.1) a.appj####.com:80
TCP(HTTP/1.1) c-h####.g####.com:80
TCP(HTTP/1.1) sdk.o####.p####.####.com:80
TCP(TLS/1.0) 1####.217.19.206:443
TCP sdk.o####.t####.####.com:5224
TCP c####.g####.ig####.com:5227

Запросы DNS:

3####.com
7j####.c####.z0.####.com
a.appj####.com
c####.g####.ig####.com
c-h####.g####.com
pub-####.qin####.com
sdk.c####.ig####.com
sdk.o####.p####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.com
sdk.o####.t####.####.net

Запросы HTTP GET:

qin####.com.www.####.com/tdata_EDT369
t####.c####.q####.####.com/tdata_Rnl693
t####.c####.q####.####.com/tdata_Soq141
t####.c####.q####.####.com/tdata_fEV688
t####.c####.q####.####.com/tdata_ntt510
ti####.c####.l####.####.com/config/hz-hzv3.conf

Запросы HTTP POST:

a.appj####.com/ad-service/ad/mark
c-h####.g####.com/api.php?format=####&t=####
sdk.o####.p####.####.com/api.php?format=####&t=####

Изменения в файловой системе:

Создает следующие файлы:

/data/data/####/.jg.ic
/data/data/####/.log.lock
/data/data/####/.log.ls
/data/data/####/4906f6419e44
/data/data/####/H591288CD.xml
/data/data/####/cc.db
/data/data/####/cc.db-journal
/data/data/####/clientid_igexin.xml
/data/data/####/data_0
/data/data/####/data_1
/data/data/####/data_2
/data/data/####/data_3
/data/data/####/gdaemon_20161017
/data/data/####/getui_sp.xml
/data/data/####/gkt-journal
/data/data/####/gx_sp.xml
/data/data/####/index
/data/data/####/init.pid
/data/data/####/init_c1.pid
/data/data/####/jg_app_update_settings_random.xml
/data/data/####/libjiagu.so
/data/data/####/pdr.xml
/data/data/####/push.pid
/data/data/####/pushext.db-journal
/data/data/####/pushg.db-journal
/data/data/####/pushk.db-journal
/data/data/####/pushsdk.db-journal
/data/data/####/run.pid
/data/data/####/tdata_Rnl693
/data/data/####/tdata_Rnl693.jar
/data/data/####/tdata_Soq141
/data/data/####/tdata_Soq141.jar
/data/data/####/tdata_fEV688
/data/data/####/tdata_fEV688.jar
/data/data/####/tdata_ntt510
/data/data/####/tdata_ntt510.jar
/data/data/####/umeng_general_config.xml
/data/data/####/webview.db-journal
/data/data/####/webviewCookiesChromium.db-journal
/data/data/####/webviewCookiesChromiumPrivate.db-journal
/data/media/####/1.png
/data/media/####/108.png
/data/media/####/1111.png
/data/media/####/114x114.png
/data/media/####/2.png
/data/media/####/2222.png
/data/media/####/3.png
/data/media/####/3333.png
/data/media/####/4.png
/data/media/####/5.png
/data/media/####/5726e1ef2faab_1024.png
/data/media/####/6.png
/data/media/####/aboutUs.html
/data/media/####/addPhoto.png
/data/media/####/addhuiyuan.png
/data/media/####/address.html
/data/media/####/aj.png
/data/media/####/allGoods.html
/data/media/####/allorder.html
/data/media/####/app.css
/data/media/####/app.db
/data/media/####/app.js
/data/media/####/applyforRefund.html
/data/media/####/arttmpl.js
/data/media/####/balance.html
/data/media/####/banxing.png
/data/media/####/barcode_scan.html
/data/media/####/bianji.png
/data/media/####/bkk.png
/data/media/####/border.png
/data/media/####/brands.html
/data/media/####/brands.js
/data/media/####/buy.js
/data/media/####/capslock.png
/data/media/####/cart.js
/data/media/####/change.html
/data/media/####/chenggong.png
/data/media/####/chongshuoming.html
/data/media/####/chuandai.png
/data/media/####/city3.js
/data/media/####/coin.png
/data/media/####/com.getui.sdk.deviceId.db
/data/media/####/com.igexin.sdk.deviceId.db
/data/media/####/com.minwuyou.shop.bin
/data/media/####/com.minwuyou.shop.db
/data/media/####/comment.html
/data/media/####/common.js
/data/media/####/company.js
/data/media/####/cropper-img.js
/data/media/####/cropper.css
/data/media/####/cropper.html
/data/media/####/cropper.min.js
/data/media/####/dagou.png
/data/media/####/delete.png
/data/media/####/deng.png
/data/media/####/dengdaishenhe.png
/data/media/####/dianhua.png
/data/media/####/dianpu.png
/data/media/####/dianqi.png
/data/media/####/dianying.png
/data/media/####/diaoxiang.png
/data/media/####/dingdan.png
/data/media/####/distribution.html
/data/media/####/erliao.png
/data/media/####/erweima.html
/data/media/####/exif.js
/data/media/####/fastclick.js
/data/media/####/fatie.png
/data/media/####/favorite.html
/data/media/####/feedback.css
/data/media/####/feedback.html
/data/media/####/feedback.js
/data/media/####/fenxiao.png
/data/media/####/file__0.localstorage-journal
/data/media/####/forgotPassword.html
/data/media/####/forum.png
/data/media/####/forumDetail.html
/data/media/####/fushi.png
/data/media/####/fuwai.png
/data/media/####/ganbao.png
/data/media/####/gkt-journal
/data/media/####/gktper
/data/media/####/goods.js
/data/media/####/goodsAll.html
/data/media/####/goodsButton.html
/data/media/####/goodsComments.js
/data/media/####/goodsDetail.js
/data/media/####/goodsList.css
/data/media/####/goodsType.html
/data/media/####/gps.js
/data/media/####/guide.html
/data/media/####/guige.png
/data/media/####/guize.png
/data/media/####/helei.png
/data/media/####/homepublic.js
/data/media/####/huixing.png
/data/media/####/huiyuan.png
/data/media/####/hy.png
/data/media/####/iconfont1.css
/data/media/####/iconfont1.ttf
/data/media/####/iconfont10.css
/data/media/####/iconfont10.ttf
/data/media/####/iconfont2.css
/data/media/####/iconfont2.ttf
/data/media/####/iconfontall.css
/data/media/####/iconfontall.ttf
/data/media/####/iconfontscreen.css
/data/media/####/iconfontscreen.ttf
/data/media/####/iconfontxin.css
/data/media/####/iconfontxin.ttf
/data/media/####/icons-extra.css
/data/media/####/im-chat.html
/data/media/####/immersed.js
/data/media/####/index.html
/data/media/####/indexed-list.html
/data/media/####/jiaju.png
/data/media/####/jiameng.png
/data/media/####/jiantou.png
/data/media/####/jiantou1.png
/data/media/####/jiayouzhan.png
/data/media/####/jiazhuang.png
/data/media/####/jiudian.png
/data/media/####/jquery-1.8.3.min.js
/data/media/####/jquery-ui.min.js
/data/media/####/jquery.qrcode.min.js
/data/media/####/kaobei.png
/data/media/####/kefu.html
/data/media/####/kefu.png
/data/media/####/kefutouxiang.png
/data/media/####/kf.png
/data/media/####/leaderboard.html
/data/media/####/lishi.png
/data/media/####/liuyan.png
/data/media/####/login.html
/data/media/####/logistics.html
/data/media/####/logo.png
/data/media/####/logout.html
/data/media/####/lvyou.png
/data/media/####/lz.png
/data/media/####/manifest.json
/data/media/####/meirong.png
/data/media/####/meishi.png
/data/media/####/meizhuang.png
/data/media/####/member.js
/data/media/####/memberDetail.html
/data/media/####/money.png
/data/media/####/more1.jpg
/data/media/####/more2.jpg
/data/media/####/moreGoods.html
/data/media/####/msg.png
/data/media/####/mt.png
/data/media/####/mui-icons-extra.ttf
/data/media/####/mui.css
/data/media/####/mui.imageViewer.js
/data/media/####/mui.imageviewer.css
/data/media/####/mui.indexedlist.css
/data/media/####/mui.indexedlist.js
/data/media/####/mui.js
/data/media/####/mui.lazyload.img.js
/data/media/####/mui.lazyload.js
/data/media/####/mui.min.css
/data/media/####/mui.min.js
/data/media/####/mui.picker.css
/data/media/####/mui.picker.js
/data/media/####/mui.poppicker.css
/data/media/####/mui.poppicker.js
/data/media/####/mui.previewimage.js
/data/media/####/mui.pullToRefresh.js
/data/media/####/mui.pullToRefresh.material.js
/data/media/####/mui.ttf
/data/media/####/mui.zoom.js
/data/media/####/myAccount.html
/data/media/####/myCard.html
/data/media/####/myCard1.html
/data/media/####/nearby.js
/data/media/####/newMembers.html
/data/media/####/no.png
/data/media/####/notify.html
/data/media/####/order.js
/data/media/####/ordersDetail.html
/data/media/####/pay.html
/data/media/####/pay.jpg
/data/media/####/pay.js
/data/media/####/payEnd.html
/data/media/####/payPassword.css
/data/media/####/payPassword.html
/data/media/####/payPassword.js
/data/media/####/payPwd.html
/data/media/####/peijian.png
/data/media/####/peixun.png
/data/media/####/pengyouquan.png
/data/media/####/phone.jpg
/data/media/####/pingjia.png
/data/media/####/pingtaiMoney.html
/data/media/####/position.html
/data/media/####/previewimage.css
/data/media/####/previewimg.html
/data/media/####/push.js
/data/media/####/pwd.html
/data/media/####/qianbao.png
/data/media/####/qiandao.png
/data/media/####/qiche.png
/data/media/####/qu.png
/data/media/####/quanbu.png
/data/media/####/quanzi.png
/data/media/####/quanzifenxiang.png
/data/media/####/recharge.html
/data/media/####/rechargeRecord.html
/data/media/####/refundDetial.html
/data/media/####/refundReturn.html
/data/media/####/reg_user.html
/data/media/####/releaseForum.html
/data/media/####/remind.png
/data/media/####/ren.png
/data/media/####/res.png
/data/media/####/rgbaster.js
/data/media/####/roles.html
/data/media/####/sAc_accont.html
/data/media/####/sanjiao1.png
/data/media/####/saoyisao.png
/data/media/####/screen.html
/data/media/####/search.js
/data/media/####/searchAdd.html
/data/media/####/searchMembers.html
/data/media/####/seller.js
/data/media/####/service.html
/data/media/####/setup.html
/data/media/####/shangcheng.png
/data/media/####/sheng.png
/data/media/####/shenghuo.png
/data/media/####/sheying.png
/data/media/####/shi.png
/data/media/####/shibai.png
/data/media/####/shop1.png
/data/media/####/shopDetail.html
/data/media/####/shops.html
/data/media/####/shopsPay.html
/data/media/####/slh.png
/data/media/####/socket.js
/data/media/####/super.html
/data/media/####/superFour.html
/data/media/####/superThree.html
/data/media/####/superTwo.html
/data/media/####/sw.png
/data/media/####/sxia.png
/data/media/####/sy.png
/data/media/####/tab-webview-main.html
/data/media/####/tab-webview-subpage-about.html
/data/media/####/tab-webview-subpage-chat.html
/data/media/####/tab-webview-subpage-contact.html
/data/media/####/tab-webview-subpage-nearby.html
/data/media/####/tab-webview-subpage-setting.html
/data/media/####/target.html
/data/media/####/tdata_Rnl693
/data/media/####/tdata_Soq141
/data/media/####/tdata_fEV688
/data/media/####/tdata_ntt510
/data/media/####/temp.arm
/data/media/####/test.log
/data/media/####/thingDetail.html
/data/media/####/time.js
/data/media/####/tixain.html
/data/media/####/tixianMoney.html
/data/media/####/tongguo.png
/data/media/####/toux.png
/data/media/####/type.html
/data/media/####/update.html
/data/media/####/update.js
/data/media/####/update.json
/data/media/####/updateaddress.html
/data/media/####/updatepwd.html
/data/media/####/upload.js
/data/media/####/uploadImg.js
/data/media/####/uploadMore.js
/data/media/####/user-information.css
/data/media/####/user_accont.html
/data/media/####/validataUser.html
/data/media/####/vip.html
/data/media/####/wenhao.png
/data/media/####/wenti.png
/data/media/####/withDraw.html
/data/media/####/wrong.html
/data/media/####/wrongDetail.html
/data/media/####/xiaoshou.html
/data/media/####/xinfang.png
/data/media/####/xing.png
/data/media/####/xx.png
/data/media/####/yinhangka.html
/data/media/####/yinhangka.png
/data/media/####/yinhangka1.html
/data/media/####/yuchuan.png
/data/media/####/yuers.png
/data/media/####/yuhu.png
/data/media/####/yule.png
/data/media/####/yundong.png
/data/media/####/zfb.png
/data/media/####/zhanghao.png
/data/media/####/zhanghu.html
/data/media/####/zs.png
/data/media/####/zuliao.png
/data/media/####/zwt.jpg
/data/media/####/zwt1.jpg

Другие:

Запускает следующие shell-скрипты:

<Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24762 300 0
cat /sys/class/net/wlan0/address
chmod 700 <Package Folder>/files/gdaemon_20161017
chmod 755 <Package Folder>/.jiagu/libjiagu.so
mount
sh <Package Folder>/files/gdaemon_20161017 0 <Package>/io.dcloud.feature.apsGt.GTNormalPushService 24762 300 0

Загружает динамические библиотеки:

getuiext2
libjiagu

Использует следующие алгоритмы для шифрования данных:

AES-ECB-PKCS5Padding
RSA-NONE-OAEPWithSHA1AndMGF1Padding

Использует следующие алгоритмы для расшифровки данных:

AES-ECB-PKCS5Padding

Использует специальную библиотеку для скрытия исполняемого байт-кода.

Получает информацию о местоположении.

Получает информацию о сети.

Получает информацию о телефоне (номер, IMEI и т. д.).

Получает информацию об установленных приложениях.

Добавляет задания в системный планировщик.

Отрисовывает собственные окна поверх других приложений.

Технологии

Термины

Обучение и просвещение

Мифы

Техническая информация

Рекомендации по лечению

Демо бесплатно на 14 дней